Onderwerp: Qmail beveiligen

Na wat getest te hebben is Qmail wel wat HEEL ERG onveilig.
je kan namelijk zonder een accountje te hebben anoniem inloggen op de SMTP server en mass-mail verzenden waardoor er zware overbelasting wordt veroorzaakt.

alleen ik heb geen idee hoe dit dicht te spijkeren,
ik heb gehoord dat er software voor te krijgen is maar heb alleen niets kunnen vinden.
graag jullie advies, want heb nu mijn smtp server uit moeten schakelen vanwege het voorkomen van abuse gebruik.

Al de volgende website bezocht?
http://www.lifewithqmail.org/

lol ooit van relay-ctrl gehoort, werkt leuk tesamen met tcpserver. Daarbij gebruik je dan de qmail-pop3 en dan werkt het compleet perfect!

ik heb nu draaien:

Qmail SMTP
Vpopmail Pop3
Courier IMAP
SquirrelMail Webmail

alleen qmail is momenteel uitgeschakeld.
ik heb zitten spitten op de Qmail website, alleen begrijp niet helemaal wat ze daar precies zeggen

Origineel geplaatst door superior-is
Al de volgende website bezocht?
http://www.lifewithqmail.org/

ja die heb ik al bezogt, maar kan niets vinden om het uit te schakelen!

http://untroubled.org/relay-ctrl/
Ik doe het wel niet precies zoals ze het daar doen omdat dit niet echt in mijn systeem past

ik las in de Qmail FAQ dat het std. uit staat die relaying.
maar hoe ik het ook doet het blijft het doen!

ik test het via:
http://www.abuse.net/relay.html

en daar me IP invullen en dan doet hij die test.

ik heb hem inmiddels al 4x opnieuw gecompileerd (Qmail en Vpopmail)
heeft iemand, anders een installatie document hoe je het dus moet installeren?
want via de Qmail install docs lukt het me ook echt niet!
snap er de balle niet meer van

Origineel geplaatst door thomas
http://untroubled.org/relay-ctrl/
Ik doe het wel niet precies zoals ze het daar doen omdat dit niet echt in mijn systeem past

dit snap ik niet helemaal:
- Put "/var/spool/relay-ctrl/allow" into the first line of
"RELAY_CTRL_DIR" in the above configuration directory.

(de bovenstaande dingen wat op die pagina staat heb ik precies exact hetzelfde gedaan, die directory's)

er staat ook:
- Modify your qmail-smtpd run file from:
tcpserver ... qmail-smtpd
to:
envdir /etc/relay-ctrl \
relay-ctrl-chdir \
tcpserver ... relay-ctrl-check qmail-smtpd


maar dit is mijn run file:
(/var/qmail/supervise/qmail-smtpd/run)

#!/bin/sh
QMAILDUID=`id -u vpopmail`
NOFILESGID=`id -g vpopmail`
MAXSMTPD=`cat /var/qmail/control/concurrencyincoming`
exec /usr/local/bin/softlimit -m 6000000 \
/usr/local/bin/tcpserver -H -R -l 0 \
-x /home/vpopmail/etc/tcp.smtp.cdb -c "$MAXSMTPD" \
-u "$QMAILDUID" -g "$NOFILESGID" 0 smtp \
/var/qmail/bin/qmail-smtpd domain.com \
/home/vpopmail/bin/vchkpw /bin/true 2>&1


en dit moet in mijn run van qmail-pop3d
How to use with qmail-pop3d:

- Change your run file from:
tcpserver ... qmail-popup hostname checkpassword \
qmail-pop3d
to:
envdir /etc/relay-ctrl \
relay-ctrl-chdir \
tcpserver ... qmail-popup hostname checkpassword \
relay-ctrl-allow \
qmail-pop3d


maar bij mij staat:
#!/bin/sh

VPOPMAILUID=`id -u vpopmail`
VPOPMAILGID=`id -g vpopmail`

exec /usr/local/bin/tcpserver -l 0 -R -H -v \
-u"$VPOPMAILUID" -g"$VPOPMAILGID" 0 110 \
/var/qmail/bin/qmail-popup domain.com \
/home/vpopmail/bin/vchkpw \
/var/qmail/bin/qmail-pop3d Maildir 2>&1


(lijkt mij dat domain.com mijn domain moet zijn)

Toch niet zo moeilijk:

root@armada:/etc/relay-ctrl# ls
RELAY_CTRL_DIR
root@armada:/etc/relay-ctrl# cat RELAY_CTRL_DIR
/var/spool/relay-ctrl/allow
root@armada:/etc/relay-ctrl#

Ik gebruik heel die scripts niet, ik start alles manueel via tcpserver.
- /usr/local/bin/tcpserver -vDHR -l0 81.23.237.245 smtp /usr/local/bin/relay-ctrl-check /var/qmail/bin/qmail-smtpd
- /usr/local/bin/tcpserver -vDHR -l0 81.23.237.245 110 /var/qmail/bin/qmail-popup pop3.domain.nl /home/vpopmail/bin/vchkpw /usr/local/bin/relay-ctrl-allow /var/qmail/bin/qmail-pop3d Maildir
- Dan nog die ./rc & van qmail zelf.

Zo werkt het echt 100% bij mij.

Met vpopmail kun je er zo voor zorgen dat iemand die inlogt op de POP3/IMAP daemon, automatisch voor een beperkte tijd ook de SMTP server kan gebruiken om te relayen. Lees de docs ivm --enable-roaming-users
Voor de pop3d van qmail zelf (dus niet die van courier) moet je de run-file (in de veronderstelling dat je daemontools gebruikt) aanpassen, checkpassword (als die ertussenstaat) vervangen door ~vpopmail/bin/vchkpw, of toevoegen.
Hiervoor heb je ook onderstaande uitleg nodig

(Als je bovenstaande niet nodig hebt, en gewoon simpelweg een smtpserver wilt die mail voor uw domein(en) aanvaardt, dan heb je enkel ucspi-tcp (tcpserver & tcprules) nodig.)
Maak een /etc/tcp.smtp met ':allow' erin, typ tcprules /etc/tcp.smtp.cdb /etc/tcp.smtp.tmp < /etc/tcp.smtp, daarna gewoon tcpserver opstarten met -x/etc/tcp.smtp.cdb en relayen is disabled.

Staat trouwens volledig uitgelegd op http://www.lifewithqmail.org/

Origineel geplaatst door DaVaRiOuS
Na wat getest te hebben is Qmail wel wat HEEL ERG onveilig.

Doel je er nu puur op dat een relay-test uitwijst dat jouw qmail server als relay gebruikt kan worden?

qmail is standaard zo ingesteld dat dit niet kan, alleen die relay-tests verslikken zich erin. qmail accepteerd de mail namelijk wel, om die vervolgens binnen het systeem te vernietigen.
De tests constateren als volgt: "oh, de mail is geaccepteerd, dus is hij ook verzonden!" wat gewoon niet waar is.

Klein verschilletje

Tevens accepteerd qmail het %-teken in email adressen zoals dit volgens de RFC moet. In verschillende sendmail versies zitten foutjes waardoor dat %-teken misbruikt kan worden, daar verslikken die tests zich ook nog wel eens in geloof ik.

Niet helemaal.

qmail aanvaardt geen mail als de betreffende domeinnaam niet lokaal is:

220 xxx.be ESMTP
HELO blabla.be
250 xxx.be
MAIL FROM: cedric@xxx.be
250 ok
RCPT TO: cedric@yyy.be
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)

yyy.be is in dit geval geen lokaal domein.

Dus die relaytests failen wel degelijk bij een correcte configuratie (== een configuratie volgens de manual)

Origineel geplaatst door cedric
Niet helemaal.
qmail aanvaardt geen mail als de betreffende domeinnaam niet lokaal is:
yyy.be is in dit geval geen lokaal domein.

Dus die relaytests failen wel degelijk bij een correcte configuratie (== een configuratie volgens de manual)

Mh I'm losing you here (zoals ik wel vaker heb als het over smtp en pop gaat)

Je wilt iets versturen naar een host die niet lokaal is (wat in 99% van de emailtjes het geval is) en dus aanvaard qmail die niet?

Misschien kun je het iets duidelijker uitleggen

Als ik mijn qmail bv hier ingeef: http://www.paladincorp.com.au/unix/spam/spamlart/ dan falen 70 van de tests gewoon. Dit is ook aangekondigd:

Others such as SMAPD, Qmail, Postfix may yield false positives.

Zie tevens http://homepages.tesco.net/~J.deBoyn...-is-wrong.html

Die relaytests controleren of je mailserver kan gebruikt worden als relay (dus dat je die server kunt gebruiken om mail te sturen naar iedereen op internet).

Als je qmail volgens de manuals installeert, dan kun je enkel mailen naar domeinnamen die lokaal zijn (dwz, domeinnamen waarvoor je zelf email wilt ontvangen op die server), de rest wordt geweigerd.

Bij het mailen naar users op een domein waarvoor je mail aanvaardt, wordt de mail inderdaad altijd aanvaardt en als de user niet bestaat, wordt een bounce gegenereerd.